Вы открываете страницу входа в почту и вместо поля для пароля видите предложение приложить палец к сканеру. Через секунду аккаунт открыт, хотя пароль вводить не пришлось. Так работают цифровые ключи доступа, или passkeys. Они заменяют комбинацию символов проверкой на вашем устройстве. Сайт не хранит секрет, с помощью которого можно войти от вашего имени: у него остаётся только открытая часть ключа.
Создание ключа доступа вместо привычного пароля
В большинстве сервисов ключ доступа создают через настройки безопасности аккаунта. Откройте раздел «Ключи доступа и ключи безопасности», выберите создание ключа и подтвердите действие разблокировкой телефона или компьютера. Устройство сформирует две связанные части: открытый ключ отправится Google, а закрытый останется под защитой системы или менеджера ключей. При следующем входе сервер проверит ответ устройства с помощью открытой части, не спрашивая пароль.
Одного смартфона с поддержкой passkeys недостаточно: сайт должен разрешать создание ключей. Если сервисы с личными кабинетами, например топ матч, добавляют поддержку ключей доступа, пользователь может заменить обычный пароль более защищённым способом входа. Если площадка не предлагает такую настройку, браузер не сможет заменить пароль ключом по желанию пользователя. Для этого сервису необходимо принять открытую часть ключа и связать её с аккаунтом.
Подтверждение входа по отпечатку пальца или распознаванию лица
При входе по отпечатку пальца сайт не получает изображение ваших пальцев. Сканер нужен, чтобы телефон убедился: устройство разблокирует его владелец. После проверки система разрешает использовать закрытый ключ для ответа на запрос сайта. Сервер сверяет результат с открытым ключом и впускает в аккаунт. Каждая попытка входа получает новый запрос от сервера. Точно так же работает распознавание лица: снимок или биометрический шаблон остаётся на устройстве, а не отправляется в сервис.
Если сканера нет, доступ не пропадает. На ноутбуке с поддержкой passkeys можно подтвердить вход системным PIN-кодом, а на телефоне — доступным способом разблокировки экрана. Это не код аккаунта: он защищает ключ на самом устройстве. Поэтому придумывать отдельный пароль для каждой такой проверки не нужно. Однако на общем компьютере создавать ключ опасно: человек, который сможет разблокировать устройство, потенциально получит доступ и к аккаунту.
Авторизация на компьютере с помощью смартфона
Ключ хранится на смартфоне, а войти нужно с рабочего ноутбука? На странице поддерживаемого сервиса выберите вход с другого устройства. Компьютер покажет QR-код; после сканирования телефон предложит подтвердить личность отпечатком, лицом или PIN-кодом. Затем браузер завершит авторизацию. Пароль в такой схеме не набирают ни на телефоне, ни на компьютере, хотя сам аккаунт открывается именно на ноутбуке.
Для этой процедуры устройства обычно должны находиться поблизости. В совместимых системах Bluetooth помогает подтвердить, что телефон действительно рядом с компьютером, а обмен данными для входа защищён. Сценарий доступен не в каждом браузере и не на любом сайте. Если в меню авторизации нет варианта входа ключом с другого устройства, простое сканирование QR-кода не добавит отсутствующую функцию.
Почему QR-код нельзя считать запасным паролем
Код на экране создают для конкретной попытки входа. Это не постоянный рисунок, который можно распечатать и хранить. Телефон получает данные запроса, а доступ подтверждает защищённым ключом внутри себя. Поэтому пересылать кому-то фотографию QR-кода не нужно: для авторизации должен участвовать ваш собственный смартфон, и подтверждать неожиданные запросы нельзя.
Сохранение ключей доступа и восстановление входа после потери телефона
Цифровой ключ может храниться в менеджере и синхронизироваться между устройствами. Например, после настройки нового телефона под тем же аккаунтом хранилища ключ станет доступен снова, если сервис и устройства поддерживают синхронизацию и вы прошли нужные проверки. Это не означает, что все ключи автоматически копируются. Некоторые создаются только для конкретного смартфона или физического USB-ключа и не синхронизируются с другими устройствами. Для восстановления иногда нужна отдельная проверка личности владельца.
Данные для входа в аккаунт топ матч могут храниться в менеджере паролей на телефоне, но это ещё не делает их цифровым ключом. Если телефон потерян, восстановление зависит от способа авторизации, который предлагает сама площадка. Поэтому перед сменой устройства нужно проверить доступ к почте, резервным контактам и хранилищу учётных данных. Ключ, привязанный к устройству, нельзя скачать с сервера сайта: там хранится только его открытая часть.
Перед заменой телефона полезно проверить несколько вещей:
- Второй ключ. Если сервис позволяет, заранее зарегистрируйте ещё одно личное устройство или физический ключ безопасности.
- Резервные коды. Если сайт выдаёт одноразовые коды восстановления, сохраните их отдельно от телефона. Фотография в его галерее не поможет при потере устройства.
- Доступ с нового телефона. Прежде чем удалять данные со старого, проверьте вход в аккаунт и работу менеджера ключей на новом.
Защита аккаунта от поддельных страниц входа
Поддельная страница почты может выглядеть как настоящая и попросить ввести пароль. Ключ доступа к ней не подойдёт: браузер связывает его с доменом, для которого ключ создавали. Но защита не распространяется на все обманные схемы. Если сервис разрешает вход по старому паролю, мошенники ещё могут выманить его через письмо или сообщение.